ปัญหา

วิธีการกำหนดรูปแบบการรับรองความถูกต้องด้วย SAML สำหรับ On-Premise ของ Ariba Buyer?

โซลูชัน

การรับรองความถูกต้องด้วย SAML สำหรับ On-Premise ของ Ariba Buyer

เอกสารนี้จะให้ตัวอย่างวิธีการอิมพลีเมนต์การรับรองความถูกต้องด้วย SAML และมีไว้เพื่อแสดงภาพกระบวนการและแนวคิดที่อยู่เบื้องหลัง มีโซลูชันผู้ให้บริการข้อมูลประจำตัว SAML ('IdP' ที่นี่) หลายโซลูชันที่เสนอโดยผู้ให้บริการที่เป็นบุคคลภายนอก ความรับผิดชอบสำหรับการอิมพลีเมนต์ SAML IdP ใดๆ ในป่าฝั่งลูกค้ากับลูกค้า

ผังโปรโตคอลการไบน์ดิ้ง SAML HTTP POST

1.1 ข้อกำหนดเบื้องต้น

เพื่อให้ลูกค้าสามารถเข้าถึง Ariba ได้ จะมีการนำข้อกำหนดเบื้องต้นต่อไปนี้ไปใช้

• ผู้ใช้ต้องมีบัญชีที่สร้างใน Ariba Buyer โดยที่ Ariba UserID เหมือนกับ ID บัญชีบริษัทของผู้ใช้ตามที่ระบุใน ID ชื่อการตอบกลับ SAML
• บราวเซอร์ของผู้ใช้อนุญาตให้ใช้คุกกี้และ JavaScript
• ลูกค้าระบุ Ariba ด้วยใบรับรองสาธารณะที่ถูกต้อง ซึ่งเป็น URL ของหน้าการเข้าสู่ระบบของบริษัทและ URL การออกจากระบบ

1.2 การเชื่อมต่อเริ่มต้นกับ Ariba

• ผู้ใช้เข้าถึง URL ของ Ariba Sourcing หรือ Ariba Buyer อาจเป็นโฮมเพจหรือ URL เชิงลึกที่ผู้ใช้บุ๊กมาร์กหรือได้รับในอีเมล์
• Ariba จะค้นหาวิธีการรับรองความถูกต้องที่เกี่ยวข้อง ซึ่งในกรณีนี้ การรับรองความถูกต้องขององค์กร SAML
• Ariba จะสร้างเซสชันเว็บ กำหนดคุกกี้ของ ID เซสชันในบราวเซอร์ของผู้ใช้ และเก็บบันทึกสถานที่ตั้งของ URL ปลายทางสุดท้ายไว้ในเซสชัน

แทนที่แสดงหน้าการเข้าสู่ระบบ Ariba บราวเซอร์ของผู้ใช้จะถูกเปลี่ยนเส้นทางไปยังหน้าทรัพยากรที่มีการป้องกันโดยลูกค้า URL การเปลี่ยนเส้นทางจะรวม ID ผู้ให้บริการ (SPID) (SPID) หรือไม่ก็ได้ พารามิเตอร์นี้จะช่วยให้ลูกค้าสามารถระบุผู้ให้บริการได้และควรโพสต์การตอบกลับ SAML หลังจากการรับรองความถูกต้องดังกล่าวถ้า URL ของผู้ให้บริการข้อมูลประจำตัว SAML ทั่วไป

1.3 การรับรองความถูกต้องของผู้ใช้ด้วยการรับรองความถูกต้องขององค์กรของลูกค้า

• บราวเซอร์ของผู้ใช้จะถูกเปลี่ยนเส้นทางไปยังหน้าทรัพยากรโดย URL การเปลี่ยนเส้นทางของ Ariba
• URL การเปลี่ยนเส้นทางจะมี SPID ด้วย
• เนื่องจากหน้าทรัพยากรนี้เป็นทรัพยากรที่มีการป้องกัน จึงมีการขัดจังหวะบริการรับรองความถูกต้องขององค์กร SAML และพร้อมท์สำหรับชื่อผู้ใช้และรหัสผ่านนี้ (หรือวิธีข้อมูลประจำตัวอื่นๆ) ซึ่งป้อนโดยผู้ใช้และส่งคืนไปยังบริการรับรองความถูกต้องขององค์กร
• บริการรับรองความถูกต้องขององค์กร SAML จะตรวจสอบความถูกต้องของข้อมูลประจำตัวเทียบกับส่วนจัดเก็บข้อมูลประจำตัวส่วนกลาง
• สำเร็จ:
• • บริการรับรองความถูกต้องขององค์กร SAML ตั้งค่าคุกกี้ของเซสชันข้อมูลประจำตัวในบราวเซอร์ของผู้ใช้
  • บริการรับรองความถูกต้องขององค์กร SAML จะดึงข้อมูล URL ของ Ariba Return ตาม SPID
  • บริการรับรองความถูกต้องขององค์กร SAML จัดเตรียมการตอบกลับ SAML ที่ลงนามแล้วและเปลี่ยนเส้นทางบราวเซอร์เพื่อโพสต์การตอบกลับไปยัง URL ของ Ariba Return
• ล้มเหลว:
• • บริการรับรองความถูกต้องขององค์กร SAML แสดงหน้าความล้มเหลวในการรับรองความถูกต้อง

1.4 การรับรองความถูกต้องขั้นสุดท้ายด้วย Ariba

• บราวเซอร์จะถูกเปลี่ยนเส้นทางไปยังหน้าตามที่ระบุใน URL ของ Ariba Return
• เว็บเซิร์ฟเวอร์ Ariba จะแม็ปการเชื่อมต่อกับเซสชันที่ถูกต้องตาม ID เซสชันในคุกกี้ของบราวเซอร์ ลอจิกที่ดำเนินการบนแอพพลิเคชัน Ariba จะดำเนินการเอกสารตอบกลับ SAML และตรวจสอบลายเซ็นด้วยใบรับรองสาธารณะของลูกค้า
• ในการจับคู่เชิงบวก:
• • NameID ที่กำหนดโดยผู้ใช้เป็นบุคคลเดียวกับที่ได้รับการรับรองความถูกต้องไปยังบริการรับรองความถูกต้องขององค์กรก่อนหน้านี้ในกระบวนการรับรองความถูกต้องนี้
  • จากนั้น Ariba จะดึงข้อมูลหน้าปลายทางจากเซสชันและนำผู้ใช้ไปใช้ในหน้านี้ ผู้ใช้สามารถใช้ Ariba ในฐานะผู้ใช้ที่ได้รับการรับรองความถูกต้องซึ่งผูกไว้โดยสิทธิพิเศษในการเข้าถึงที่เชื่อมโยงกับ ID ชื่อที่ได้รับการรับรองความถูกต้องได้
• มิฉะนั้นข้อผิดพลาดจะแสดงขึ้น

• เมื่อออกจากระบบ แอพพลิเคชัน Ariba จะออกจากระบบจากแอพพลิเคชันและสามารถนำไปยัง URL การออกจากระบบที่ลูกค้าระบุ
• เซสชันบนเว็บถูกกำหนดค่าให้หมดอายุหลังจากเวลาที่ไม่ได้ใช้งาน 30 นาที
• ขั้นตอน "การรับรองความถูกต้องของผู้ใช้ด้วยการรับรองความถูกต้องขององค์กรของลูกค้า" เป็นการอิมพลีเมนต์ภายในของลูกค้าและจะได้รับการตัดสินใจโดยโครงสร้างพื้นฐานด้านความปลอดภัยของบริษัท

2 ตัวอย่างการกำหนดรูปแบบ

ตัวอย่างนี้แสดงให้เห็นการกำหนดรูปแบบการรับรองความถูกต้อง SAML ด้วย Microsoft Azure AD Single Sign-On

ขั้นตอน 'การกำหนดรูปแบบการรับรองความถูกต้องขององค์กรใน Ariba Buyer' เป็นการกำหนดรูปแบบทั่วไปใน Ariba Buyer ขั้นตอนอื่นๆ สำหรับเซิร์ฟเวอร์ผู้ให้บริการข้อมูลประจำตัว SAML อื่นควรดูเอกสารอธิบายจากผู้ให้บริการซอฟต์แวร์ที่เป็นบุคคลภายนอกที่เกี่ยวข้อง

2.1 รายละเอียดตัวอย่าง

• URL ของ SPID ของ Ariba Buyer:

https://mycompany.com/Buyer/Main?site=System&passwordadapter=PasswordAdapter1

• URL การใช้การตอบกลับแบบ SAML ของ Ariba:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&site=ระบบ

2.2 การกำหนดรูปแบบการลงชื่อเข้าใช้ระบบแบบครั้งเดียวสำหรับ Azure AD

1. ใน Azure Portal ให้เลือกเพิ่มแอพพลิเคชัน 'ไม่ใช่แกลเลอรี'
   ในตัวอย่างนี้ ชื่อแอพพลิเคชันคือ ‘Ariba_SuBuyer’
2. หลังจากการสร้าง ให้เลือก 'กำหนดรูปแบบการลงชื่อเข้าใช้ระบบแบบครั้งเดียว' และ 'การลงชื่อเข้าใช้บน SAML'

ในหน้า Single Sign-On ให้ระบุค่าต่อไปนี้

ID ควรเป็น 'URL ของ SPID ของ Ariba Buyer'
URL การตอบกลับควรเป็น 'URL การใช้การตอบกลับ SAML ของ Ariba'

เลือก ตัวระบุผู้ใช้ ตัวระบุผู้ใช้นี้จะถูกส่งเป็น "ID ชื่อ" ในการตอบกลับ SAML และจะถูกใช้เป็น ID ผู้ใช้ Ariba Buyer

ดาวน์โหลดและเก็บสำเนาภายในไว้ของ 'ใบรับรอง (Base64)' ใบรับรองนี้จะถูกติดตั้งไปยัง Ariba Buyer ในขั้นตอนต่อมา

3. ทำให้ใบรับรองใหม่ใช้งานได้ และ เก็บบันทึก การเปลี่ยนแปลง การดำเนินการนี้จะทำให้การกำหนดค่า Azure Single Sign-On เสร็จสมบูรณ์

จากนั้นในหน้าเดียวกัน ให้คลิกลิงก์ ‘กำหนดรูปแบบ Ariba_Buyer’ นี่เป็นคำแนะนำของ Azure ในการกำหนดรูปแบบผู้ให้บริการ คัดลอก URL ต่อไปนี้จากคำแนะนำนี้

2.3 การกำหนดรูปแบบการรับรองความถูกต้องขององค์กรใน Ariba Buyer

2.3.1 เปิดใช้งานการรับรองความถูกต้องขององค์กร

ค้นหา 'การรับรองความถูกต้องขององค์กร' จากการดูแลหลัก > โปรไฟล์ของไซต์

ตัวเลขต่อไปนี้มีวัตถุประสงค์เพื่อให้ข้อมูลเท่านั้น โดยจะแสดงฟิลด์อินพุทที่ Ariba ใช้เพื่อเปิดใช้งานบริการ

1. ตรวจสอบ 'เปิดใช้งานผู้รับรองความถูกต้องขององค์กร' และเลือก 'การรับรองความถูกต้องด้วย SAML'
2. โดยทำตามโปรโตคอล SAML 1.1 ตามค่าตั้งต้น เลือก ใช้คำขอ SAML เพื่อเปิดใช้งานโปรโตคอล SAML 2.0 ซึ่งจะโพสต์คำขอ SAML ไปยัง URL การเข้าสู่ระบบ
3. เลือก 'เพิ่ม URL การส่งคืนของผู้ให้บริการ' เพื่อขอ Ariba เพื่อสร้าง URL ที่ส่งคืนในชื่อพารามิเตอร์ URL “ret” ลูกค้าสามารถใช้ URL นี้เพื่อผ่านรายการการตอบกลับ SAML ของตน
4. คัดลอกเนื้อหาของใบรับรองที่ดาวน์โหลดจาก Azure AD
5. เก็บบันทึกการเปลี่ยนแปลง
   

ขั้นตอนนี้จะมีผลทันที

แต่ก่อนที่จะทดสอบการรับรองความถูกต้อง SAML ด้วย Azure AD ยังคงต้องใช้ขั้นตอนถัดไป

2.3.2 เพิ่มคีย์ส่วนบุคคลของ Ariba

ก่อนที่จะดำเนินการต่อไปยังขั้นตอนต่อไปนี้ คุณควรได้รับคู่ของคีย์ RSA และอิมปอร์ตคู่ของคีย์ RSA ไปยังไฟล์ Java Key Store (*.jks)

คีย์ส่วนบุคคลของ Ariba จะถูกใช้เพื่อลงนามในคำขอ SAML

1. คัดลอกไฟล์ JKS ไปยังที่ตั้ง: <buyer_install>/Server/etc/certs
2. เพิ่มหรือปรับเปลี่ยน 'System.Authentication.Keystore.AribaPrivateKeystore' จากตาราง Parameters.table ให้มีเนื้อหาที่แสดงเป็นตัวหนาในส่วนย่อยของรหัสต่อไปนี้

• รีสตาร์ทเซิร์ฟเวอร์ Ariba Buyer เพื่อให้การเปลี่ยนแปลงพารามิเตอร์มีผล

ข้อมูลเพิ่มเติม

หลังจากติดตั้ง WebLogic 11gR1 ในเครื่องใหม่แล้ว กรุณาตรวจสอบให้แน่ใจว่าการรับรองความถูกต้องด้วย SAML ใช้ได้กับแอพพลิเคชันเซิร์ฟเวอร์ WebLogic 11gR1 คุณต้องทำการเปลี่ยนแปลงโดยผู้ใช้ต่อไปนี้เพื่อให้แน่ใจว่าการรับรองความถูกต้องด้วย SAML ใช้งานได้
เมื่อต้องการตรวจสอบให้แน่ใจว่าการรับรองความถูกต้องด้วย SAML ใช้งานได้
1 หยุดการทำงานของเซิร์ฟเวอร์
2 ไปที่แฟ้มโมดูลภายใต้ที่ตั้งที่มีการติดตั้ง WebLogic 11gR1 (/opt/bea10mp36/โมดูล/)
3 หาตำแหน่งไฟล์ชื่อ com.bea.core.be.opensaml2_1.0.0.0_6-2-0-0.jar.
4 ลบไฟล์ jar นี้ หรือเปลี่ยนชื่อเป็นไฟล์ com.bea.core.be.opensaml2_1.0.0_6-2-0-0.jar.old เพื่อให้แน่ใจว่าไฟล์ jar นี้จะไม่ได้รับการโหลดเมื่อเริ่มต้นเซิร์ฟเวอร์และโหลดไฟล์ SAML jar ที่ถูกต้องที่มีอยู่ภายใน /เซิร์ฟเวอร์/คลาส/ แฟ้มแทน ระบบ จะใช้ไฟล์ Jar นี้เพื่อเลือกคลาส XMLConfigurator ที่ถูกต้องเพื่อโหลดข้อมูล SAML ที่เหมาะสม
5 รีสตาร์ทเซิร์ฟเวอร์

On-Premise > On-Premise - Ariba Buyer